Note de lecture : Cybersecurity Myths and Misconceptions, par Eugene H. Spafford, Leigh Metcalf & Josiah Dykstr

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 4 ; Où l’on débusque effectivement (beaucoup) de mythes, mais en s’égarant bien trop souvent !

Au premier regard, l’ouvrage n’attire guère l’attention si ce n’est par l’illustration de la couverture assez médiocre. L’avant-propos écrit par Vint Cerf interpelle beaucoup plus : il s’agit de l’inventeur du protocole TCP/IP ! En fait, les auteurs sont tous de grosses pointures, l’un d’entre eux a pratiquement créé le domaine de la cybersécurité. Est-ce cette aura qui lui a permis d’inclure dans le livre des illustrations réalisées par sa fille ? En tout état de cause, cet élément n’est pas une réussite.

Nous avons là un texte très dense, aussi bien par la rareté des illustrations (une bonne chose, dans le cas présent) que par le propos lui-même. Il ne faut donc pas se laisser surprendre par la taille assez modérée de l’ouvrage qui compte 330 pages. Pour ce total nous avons 16 chapitres répartis sur 4 parties, donc une structure plutôt engageante.

La première d’entre-elles sert de prologue pour camper des éléments de contexte sur l’Internet et la cybersécurité. Elle compte 2 chapitres sur un peu plus de 55 pages. Le premier chapitre aborde les caractères généraux de la cybersécurité. J’en retiens les principes de Robert Courtney sur la gestion de la cybersécurité. Malgré qu’il s’agisse d’un chapitre d’introduction assez général, les auteurs nous assènent quand même quelques mythes assez lourds tels que « le premier but de la cybersécurité est la sécurité »… de quoi bien nous appâter pour la suite ! On ne voit venir certains (le produit X vous permettra d’être sécurisé), mais pour d’autres c’est moins évident (l’open-source est plus sécurisé que le closed-source). Un bon chapitre ! Le second chapitre est le complément du premier : « qu’est-ce que l’internet ? ». Le propos tourne beaucoup autour du protocole de communication. Les auteurs semblent avoir une dent contre la blockchain, ils lui réservent quelques mythes, ainsi qu’au Dark Web qui ne serait pas si dark… Mais finalement, pas tant de mythes au niveau TCP/IP qui est pourtant une vraie passoire !

Continuer à lire « Note de lecture : Cybersecurity Myths and Misconceptions, par Eugene H. Spafford, Leigh Metcalf & Josiah Dykstr » →

Note de lecture : Ask Powerful Questions, par Will Wise & Chad Littlefield

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 5 ; Où il est question de questionnement, mais surtout de conversations dans un cadre de coaching.

Le questionnement est le super-pouvoir du coach, mais c’est aussi celui du manager ou de l’analyste. Poser une question ne se fait pas au hasard. Une question va initier un processus de réflexion dont la réponse n’est qu’un élément, et pas nécessairement le principal. Poser une question, c’est choisir délibérément la direction que l’on se propose de donner à cette réflexion. Le présent ouvrage nous propose de construire une progression de questionnement en 5 étapes en s’appuyant sur la métaphore de la pyramide.

Le livre en lui-même est composé de 6 chapitres pour un total d’environ 260 pages dans un moyen format. Le premier chapitre traite de l’intention. Par « intention », les auteurs appellent à être clair et transparent sur ce que nous recherchons. Il s’agit aussi de mieux connaitre son interlocuteur, son contexte et ses attentes. L’intention est le moment durant lequel on crée une connexion authentique et sincère avec l’interlocuteur, en usant du « nous ». Au chapitre 2, nous développons le « rapport », qui est la compréhension profonde de l’interlocuteur. La clé ici est de comprendre réellement celui-ci au-delà des impressions superficielles.

Le chapitre 3 nous rapproche davantage du cœur du sujet : il s’agit de « l’ouverture ». Là où les deux premières étapes servaient à créer un terrain propice, cette phase sert à écouter ce que notre interlocuteur souhaite exprimer. Les auteurs nous découragent vivement à utiliser le « pourquoi », mais user plutôt du « quoi » et du « comment ». Pour exacerber cette ouverture, il s’agit plutôt d’élaborer des questions auteur de « que pensez-vous » ou « que ressentez-vous ». L’emploi de questions ouvertes permet ici de transiter d’un mode interrogatoire vers une conversation. Le chapitre 4 évoque l’écoute. Plus précisément il mise sur le « reflective listening », en s’appuyant par exemple sur la technique de la reformulation. Ce chapitre apporte finalement assez peu à ce que nous connaissons déjà.

Continuer à lire « Note de lecture : Ask Powerful Questions, par Will Wise & Chad Littlefield » →

Note de lecture : Threat Modeling, par Izar Tarandach & Matthew J. Coles

Le par addinquydans UncategorizedLaisser un commentaire

Note : 3 ; Décevant !

En voyant ce livre, je me suis dit qu’il me permettrait d’être à niveau sur la modélisation des menaces pour un volume (et un temps) inférieur d’un facteur 3 à 4 par rapport au grand classique d’Adam Shostack. J’ai dû vite désenchanter, et nous allons y (re)venir.

De prime abord, les signaux sont positifs : le propos est destiné aux équipes de développement plutôt qu’aux équipes cyber, et il semble permettre d’aborder la modélisation des menaces en moins de 200 pages, 175 si l’on exclut les annexes. Le tout est structuré en 6 chapitres, ce qui n’est pas idéal dans le cas présent et nous aurons l’occasion d’y revenir. Le premier d’entre eux est un peu surprenant, car il traite de la modélisation des systèmes sur un peu plus de 30 pages. Vous avez bien lu : il n’est pas question de cybersécurité ni de menaces ici. C’est une introduction plutôt lente pour un ouvrage aussi court. De plus cette introduction à la modélisation est au mieux honnête, mais on attend les choses sérieuses.

Justement, les choses sérieuses arrivent au chapitre 2 qui est la véritable introduction du livre. Elle est plutôt courte, avec ses 9 pages et résume l’approche de la modélisation des menaces à 3 éléments : les moyens, les opportunités et les motivations. Sur cette base, les auteurs nous distillent une courte liste des éléments à observer de plus près. Nous en saurons plus concrètement au chapitre suivant, nous laisse-t-on penser.

Continuer à lire « Note de lecture : Threat Modeling, par Izar Tarandach & Matthew J. Coles » →

Note de lecture : The Delicate Art of Bureaucracy, par Mark Schwartz

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 3 ; Sans queue ni tête (ou peu s’en faut)

Avec Mark Schwartz, on ne sait jamais vraiment où on va atterrir ! Le titre a-t-il seulement un rapport avec le contenu ? Mystère ! Dans cet ouvrage il doit être question comme son nom l’indique de bureaucratie. Le pédigré de l’auteur en fait de facto une personne particulièrement compétente sur le sujet, du moins concernant l’administration américaine. Mais une bureaucratie, c’est une bureaucratie…

Le présent ouvrage compte 15 chapitres, également répartis sur 3 parties pour un total de 210 pages. L’auteur doit aimer les rythmes réguliers, car la première partie « digital transformation and bureaucracy » compte 70 pages pour ses 5 chapitres. Comme à son habitude, l’auteur commence par un premier chapitre plutôt brouillon. Ou plus exactement, il donne l’impression d’écrire davantage pour lui-même que pour le lecteur. L’élément à en retenir est l’introduction de Max Webber dont la pensée sociologique va guider le propos développé ici. Au chapitre 2, il semble qu’il sera question de Chaos Monkey. Mark Schwartz a du changer d’avis une fois le titre écrit. L’élément saillant de ce chapitre est l’évocation du « paper reduction act », dont nous apprendrons plus tard que son impact fut en fait d’augmenter le volume de papier. Un chapitre bien creux, cette fois encore.

Les digressions (comment les appeler différemment ?) du chapitre 3 évoquent (je crois) l’impact de l’IT concernant la bureaucratie. Mais j’ignore les conclusions que je dois tirer de cette lecture. L’outil numérique est un bon outil pour assurer le suivi des règles, comme le font les ERP. Mais amplifie-t-il le problème comme semble le suggérer l’auteur ? Au chapitre 4, il nous révèle (si l’on peut dire) pour quoi la bureaucratie, c’est mal : elle est inefficace, elle a perdu de vue son rôle de départ, elle est un obstacle à l’innovation, elle déshumanise, elle sclérose et finalement elle devient un facteur de risque de par son aversion intrinsèque au risque ! C’est une plutôt bonne synthèse d’éléments que l’on ne découvre pas vraiment. Mais le chapitre 5 nous invite à considérer pourquoi la bureaucratie est une bonne chose : facteur d’égalité et de régulation, entre autres chose. Ce qui nous conduit au verdict : la bureaucratie, ce n’est pas le mal.

Continuer à lire « Note de lecture : The Delicate Art of Bureaucracy, par Mark Schwartz » →

Note de lecture : Retrospectives Antipatterns, par Aino Vonge Corry

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 6 ; Une bonne vue d’ensemble sur ce qui peu taller de travers lors des rétrospectives, mais assez faible sur les remèdes.

Les rétrospectives ont acquis leurs lettres de noblesse dans le monde agile, au point d’être considéré comme le principal moteur de l’amélioration continue, et parfois même le seul ! Pourtant pas mal de choses peuvent mal tourner ou au moins ne pas donner les résultats espérés. Dns ce dernier cas, cela passe même souvent inaperçu. Cet ouvrage est là pour prendre le taureau par les cornes et se donne comme objectif d’identifier ces situations aussi largement que possible, de les analyser et de proposer des mesures pour contrer le problème.

L’ouvrage compte 220 pages pour 24 chapitres qui sont autant d’anti-patterns. Ils sont regroupés en 3 parties. La première d’entre-elles va adresser les anti-patterns dits structurels, sur 8 chapitres et 80 pages. La « roue de la fortune » au premier chapitre adresse les rétrospectives superficielles où l’on adresse les symptômes mais pas les causes profondes. L’auteure nous suggère l’usage de 5 pourquoi pour aller chercher plus loin les causes du mal. On appréciera la prise en compte d’aspects culturels qui peuvent être un frein à la démarche. Au second chapitre, il est question de l’ignorance de la directive première de Norman Kerth. Elle conduit aux attaques personnelles, à la perte de confiance et finalement à une attitude défensive des participants qui n’osent plus s’exprimer. Le texte en dresse une excellente description. La solution est bien sûr de mettre en avant la directive première, ça ne nous avance pas tellement.

Le chapitre 3, il est question des rétrospectives qui évoquent des questions hors du champs d’action ou d’influence de l’équipe, ce qui ne nous avance guère. L’exercice des « 3 cercles » qui est proposé comme solution est vraiment excellent et simple à mettre en œuvre. Je le recommande particulièrement. Nous arrivons au chapitre 4 « overtime » où l’équipe utilise la rétrospective pour « déborder » sur les derniers incidents d’actualité. Là encore ce genre de situations est assez fréquente. L’auteure ne nous propose guère que la tenue d’un agenda pour y remédier. Ce n’est pas spécialement convaincant.

Continuer à lire « Note de lecture : Retrospectives Antipatterns, par Aino Vonge Corry » →

Note de lecture : Improving Agile Retrospectives, par Marc Loeffler

Le par addinquydans UncategorizedLaisser un commentaire

Note : 3 ; Globalement décevant pour ce qui est d’adresser les rétrospectives de niveau plus avancé.

Il semble donc que les rétrospectives soit un sujet sur lequel on n’est jamais en mal de littérature. Comme le titre l’indique, le sujet du jour est de les améliorer, et celui-ci a doit à la prestigieuse « signature series » d’Addison Wesley.

Le présent ouvrage n’est guère intimidant. D’un format légèrement inférieur à ce que nous avons l’habitude de tenir entre les mains, il ne compte que 230 pages et se découpe en 11 chapitres. Le premier évoque la finalité d’une rétrospective et sa structure. Sans grande surprise, elle s’inscrit dans la continuité de « Agile Retrospective » qui confirme s’il en était besoin, son statut d’ouvrage de référence.

C’est un bon tour de chauffe, mais on n’y apprend pas grand-chose.
Le second chapitre a trait à la préparation. Le contenu n’est guère novateur, mais l’auteur s’efforce de faire le tour de la question dans ses moindres détails : disposition de la salle, type de post-it à utiliser, type de snacks à proposer, etc. Oui, c’est sympa, mais il y a une petite odeur « remplissage » qui n’est pas excellente. Pour moi, ce n’est pas un chapitre nécessaire, surtout quand le thème est l’amélioration : les bases sont censées être là. Le 3ème chapitre n’est pas en reste : il adresse la première rétrospective ! Cette fois encore c’est un peu l’arnaque pour un ouvrage visant l’amélioration des rétrospectives. Les activités choisies sont très basiques, ce qu’on peut considérer comme normal pour une première rétrospective. Le non-débutant n’y apprendra rien. Le débutant y trouvera de l’intérêt car le texte fait découvrir la rétrospective par l’exemple de manière très concrète. Bref, il y a erreur sur le public.

Continuer à lire « Note de lecture : Improving Agile Retrospectives, par Marc Loeffler » →

Note de lecture : Paper Prototyping, par Carolyn Snyder

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 3 ; Beaucoup de processus et pas tellement de prototypage

C’est un exercice périlleux d’écrire une note de lecture sur un livre qui prenait la poussière depuis 20 ans ! D’un côté, il s’agit bien de mettre en lumière l’intérêt du contenu au moment où je l’ai lu, mais de l’autre, je ne peux honnêtement pas faire fi du contexte de l’époque. Bien que Paper Prototyping ne soit pas un texte technique, il reste exposé à ce dilemme. Le prototypage papier est de prime abord une technique alléchante, à la fois par son côté rapide, low-cost et par la dynamique différente que peut conférer le contact physique avec le support. Nous allons le voir, le texte donne bien peu de place à ces atouts.

Le livre, parlons-en ! Il en impose assez avec ses 350 pages. Le tout est rythmé en 16 chapitres, regroupés en 4 parties. La première d’entre-elle compte presque 100 pages pour 4 chapitres. Gageons que c’est plus qu’une introduction malgré l’en-tête. Mais le premier chapitre est bien une introduction : il contextualise l’usage de la pratique et la compare aux autre pratiques proches ou alternatives, le tout richement illustré. On ne sait pas encore comment conduire cela, mais on a une meilleure idée de l’usage. Le second chapitre nous plonge directement dans des cas d’étude. A ce stade, nous ne savons rien de la démarche, il s’agit donc plutôt de vanter les résultats qu’elle permet d’obtenir. On notera avec intérêt les exemples issus de systèmes embarqués.

Le chapitre 3 est assez frustrant, car il continue de nous faire languir. « Thinking about prototypes » nous énumères les bénéfices et les contraintes (mais surtout les bénéfices de la démarche). Un chapitre pas vraiment utile. Nous abordons les choses sérieuses avec le dernier chapitre de cette première partie : la réalisation effective des prototypes : quels matériels et quels supports utiliser ? Comment représenter un browser ou des éléments d’interface ? Même si le chapitre est conséquent, un seul n’aurait pas suffi pour faire le tour de la question et on a parfois l’impression que l’on passe un peu rapidement sur les différents éléments. Cela mis à part, le chapitre tient bien la route.

Continuer à lire « Note de lecture : Paper Prototyping, par Carolyn Snyder » →

Note de lecture : Modern Defense in Depth, par Stephen Gates

Le par addinquydans Notes de lectureLaisser un commentaire

Note 4 ; Plus des intentions qu’un véritable concept

La défense en profondeur, c’est une architecture cyber qui est passé de mode, au profit du « zéro trust ». Pourtant ce court ouvrage veut nous vanter les mérites d’une nouvelle génération de défense en profondeur. Cela mérite que l’on y regarde de plus près. D’un format un peu plus petit que ce que l’on a coutume de voir, l’opuscule ne compte que 45 pages pour 5 chapitres. Ce n’est donc pas une lecture qui va nous garder en haleine très longtemps.

Le point de départ de cet opuscule est une conviction intime de l’auteur : la faiblesse de l’architecture de défense en profondeur réside dans le principe de base de l’indépendance des lignes de défenses, alors qu’il s’est forgé une vision selon laquelle ces lignes doivent au contraire être intégrées. C’est ce que nous allons voir.

Le premier chapitre est une critique de l’architecture de défense en profondeur : qu’est-ce qui ne marche pas et pourquoi ? Le teste dresse un constat sévère : les lignes de défense indépendantes ne protègent pas suffisamment contre les attaques externes, car il s’agit de produits indépendants que les attaquants apprennent à connaitre, mais ils ne protègent pas non plus les attaquent visant les utilisateurs internes, car elles sont inefficaces contre le phishing, par exemple. La critique la plus importante est sans doute celle du « bruit » générés par ces lignes indépendantes, qui reposent sur un SIEM pour corréler ces différentes informations et leur donner un sens. Ce chapitre n’est pas dénué d’intérêt, car même si le propos n’entre pas en profondeur, il fait un bon travail pour dresser un paysage des faiblesses pénitentielles d’une architecture de sécurité classique.

Continuer à lire « Note de lecture : Modern Defense in Depth, par Stephen Gates » →

Note de lecture : The Creative Programmer, par Wouter Groeneveld

Le par addinquydans Notes de lectureLaisser un commentaire

Note : 9 ; Inspiré et inspirant ! co-book of the year 2023 !

Cet ouvrage fait partie des (très) bonnes surprises de l’année 2023 ! J’ai ouvert l’ouvrage avec plus de curiosité que d’attentes pour ce texte que j’avais classé à priori dans la catégorie « craftsmanship », l’auteur semble d’un avis différent mais je vais rester sur mes positions. L’excellent « Pragmatic Learning & Thinking » d’Andrew Hunt semble avoir été le point de départ de ce texte qui développera sa propre originalité.

Avec 200 pages sur 9 chapitres, le livre garde une taille modeste, d’autant qu’il est bien écrit et se lit avec aisance. Aisance ne signifie pas absence de richesse : avec à la fois une connaissance pratique et une formation académique, l’auteur n’hésite pas à relier son propos à des références en psychologie ou en sociologie et d’autres encore. Il structure sa réflexion sur la créativité sur 7 axes auxquels sont consacrés un chapitre chacun. Fort classiquement, le premier chapitre est une introduction à ce qui suit. On y découvre différents types de créativité et bien entendu une introduction aux 7 thèmes qui seront développés par la suite. Le quiz proposé en fin de chapitre méritera aussi le détour !

Le second chapitre est consacré à la connaissance technique. Le texte se concentre sur la manière de collecter, reprendre et gérer les connaissances sous forme de notes ou de fiches. Ce sont des rencontres tout autant que des techniques que nous propose ici l’auteur : Niklas Luhmann et Vanevar Bush et son Memex dont les idées développées dans son article « As we may think » préfigureront les idées qui donneront naissance au Web. L’acquisition des connaissances est aussi affaire de pratiques délibérées, ce que Wouter Groeneveld nous partage avec son processus de prises de notes.

Continuer à lire « Note de lecture : The Creative Programmer, par Wouter Groeneveld » →

Note de lecture : When Coffee and Kale Compete 2nd edt., par Alan Klement

Le par addinquydans Notes de lecture, UncategorizedLaisser un commentaire

Note : 6 ; Une référence incontestable du « job to be done » mis dont le fil conducteur est des plus alambiqués !

Le « job to be done » est un concept à cheval entre le marketing et la démarche produit, mais il est pour moi d’avantage du côté produit. Le concept est alléchant, car il nous fait quitter le domaine de la solution et même celui de la demande du client pour nous diriger vers celui des aspirations ! La mauvaise nouvelle est que le concept même est abordé, interprété et décliné différemment selon les différents membres influents de cette petite communauté. Il faut bien s’accrocher du côté des ouvrages de référence, et celui-ci émerge très nettement. Nous allons rapidement le comprendre, même si le texte n’est pas exempt de critiques.

Avec 210 pages, cette nouvelle édition reste un ouvrage relativement succinct. Il compte 15 chapitres pour sa partie principale, mais je vais y adjoindre la première annexe qui est la reprise d’un post de l’auteur. Le premier chapitre « challenge, hope and progress » est plus qu’une introduction, il nous dévoile déjà une bonne part du sujet. C’est toutefois une introduction quand même, car il met en lumière les lacunes de l’approche centré sur les besoins utilisateur avec son cortège de biais cognitifs. Il aborde aussi un concept qui reviendra au gré des chapitres : la création destructive. Car quand un client adopte (l’auteur préfère le terme « embauche ») un produit, il en abandonne un moins bien adapté à ses aspirations.

Le chapitre attaque le cœur du sujet : qu’est-ce que le « job to be done » (JTBD) ? Deux écoles s’affrontent pour le définir, et il ne s’agit pas de subtilités. La première école définit le JTBD comme le résultat d’une activité, matérialisée par la citation désormais fameuse : « le client ne veut pas une perceuse, il veut un trou de 12 millimètres ». Pour la seconde école de pensée à laquelle appartient l’auteur, ceci est une démarche qui s’arrête à mi-chemin. Pour lui, il ne va même pas s’agir d’accrocher un tableau au mur, mais de pouvoir se relaxer dans un salon où il se sent bien ! Le concept formulé est le « self-betterness », une meilleure version de lui-même où le « meilleur » correspond aux aspirations du client. Le chapitre 3 complète le précédent en énonçant les principes clés de la démarche, tels que la notion de progrès, la notion de « système » auquel participent le client, le producteur, la solution, etc. Ces deux chapitres forment la base théorique du JTBD. Les chapitres suivants n’en seront que les déclinaisons pratiques.

Continuer à lire « Note de lecture : When Coffee and Kale Compete 2nd edt., par Alan Klement » →